Como fazer um pentest completo

Este guia é a espinha de um teste de intrusão do começo ao fim: o que fazer em cada fase, com que ferramenta, e o que precisa estar escrito antes de você tocar em qualquer coisa.

Leia projetos/00-regras.md primeiro. Testar sistema de terceiros sem autorização escrita é crime no Brasil — Lei 12.737/2012 e Art. 154-A do Código Penal. Nenhuma técnica aqui muda isso.

Onde praticar: tudo neste guia se treina em labs/red-team-ctf.md e em repositorios/labs-vulneraveis.md. Máquina que é sua, ou plataforma que autoriza por escrito.

Um pentest não é "rodar o scanner e mandar o PDF". A ordem importa porque cada fase alimenta a seguinte, e pular uma custa achado.

A distribuição surpreende quem começa: enumeração e relatório juntos são metade do trabalho, e exploração é a menor fatia. Quem passa o tempo todo tentando explorar geralmente não enumerou o suficiente.

Nada começa sem isto por escrito e assinado.

O que o documento precisa dizer:

Armadilha comum: o alvo tem um IP que na verdade pertence a um provedor de nuvem ou hospedagem. Você precisa da autorização do dono do sistema e verificar a política do provedor. AWS, Azure e GCP têm regras próprias para teste de intrusão.

Referência de metodologia: o PTES define essa fase como Pre-engagement Interactions e traz uma lista de perguntas pronta.

Você coleta sem enviar um pacote ao alvo. Tudo aqui vem de fonte pública ou de terceiros.

# subdomínios de fontes passivas (certificados, arquivos, APIs públicas)
subfinder -d example.com -all -silent > subs.txt
amass enum -passive -d example.com

# transparência de certificado, sem tocar no alvo
curl -s "https://crt.sh/?q=%25.example.com&output=json" | jq -r '.[].name_value' | sort -u

# registros DNS e histórico
dig example.com ANY +noall +answer
dig -t TXT example.com          # SPF e DMARC revelam provedores e terceiros

Ferramentas: subfinder · amass · crt.sh

Busca por segredo em repositório:

# num repositório que você clonou legitimamente
trufflehog git file://./repo --only-verified
gitleaks detect --source ./repo

trufflehog · gitleaks

Descobrir o formato (nome.sobrenome@, inicial+sobrenome@) permite montar lista de usuários a partir dos nomes que você achou. É a base de password spraying na fase 4 — quando o escopo permite.

Agora você toca no alvo. Cada pacote seu pode aparecer num log, e isso é esperado num teste autorizado.

# descoberta de host na faixa
nmap -sn 10.0.0.0/24 -oA descoberta

# varredura completa de portas TCP, rápida, sem detecção
nmap -p- --min-rate 5000 -T4 -Pn 10.0.0.5 -oA portas

# só as portas abertas, agora com versão e script padrão
nmap -p 22,80,443,445,3389 -sCV -Pn 10.0.0.5 -oA servicos

# UDP nas portas que realmente valem (UDP é lento; não varra tudo)
nmap -sU --top-ports 20 -Pn 10.0.0.5 -oA udp

Por que dois passos: a primeira varredura acha portas rápido; a segunda investiga só o que existe. Rodar -sCV -p- de uma vez leva horas e entrega o mesmo.

Alternativas mais rápidas para faixas grandes: masscan e naabu, sempre seguidos de nmap -sCV nas portas encontradas.

Cuidado real: -T5, --min-rate muito alto ou masscan sem limite derrubam equipamento de rede frágil. Isso conta como negação de serviço, e normalmente está proibido no contrato.

A fase mais longa e a que decide o resultado. Aqui você transforma "porta 445 aberta" em "usuário X tem acesso de escrita ao compartilhamento Y".

# tecnologias, cabeçalhos, framework
whatweb -a 3 https://example.com
curl -sI https://example.com

# diretórios e arquivos
feroxbuster -u https://example.com -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt -x php,txt,bak,old,zip

# vhosts por cabeçalho Host
ffuf -u https://example.com -H "Host: FUZZ.example.com" -w subs.txt -fs 0

# parâmetros escondidos
arjun -u https://example.com/

Ferramentas: feroxbuster · ffuf · SecLists · Arjun

Para aplicação web, a referência completa de teste é o OWASP Web Security Testing Guide — ele lista o que testar em cada categoria, e é o que separa "achei um XSS" de "cobri autenticação, sessão, autorização, entrada, lógica de negócio".

# enumeração geral: compartilhamentos, usuários, política de senha
netexec smb 10.0.0.5 -u '' -p '' --shares --users --pass-pol
enum4linux-ng -A 10.0.0.5

# listar e baixar de compartilhamento
smbclient -L //10.0.0.5 -N
smbmap -H 10.0.0.5 -u usuario -p senha

NetExec (sucessor do CrackMapExec) · enum4linux-ng

# coleta completa para análise de caminho de ataque
bloodhound-python -d dominio.local -u usuario -p senha -c All -ns 10.0.0.1

# usuários com Kerberos pre-auth desabilitado (AS-REP Roasting)
GetNPUsers.py dominio.local/ -usersfile usuarios.txt -no-pass

# contas de serviço com SPN (Kerberoasting)
GetUserSPNs.py dominio.local/usuario:senha -request

BloodHound · Impacket

BloodHound é o que transforma uma lista de objetos do AD num grafo de caminhos até Domain Admin. Aprender a ler o grafo vale mais que decorar comando.

Consulta de referência para qualquer porta: HackTricks tem uma página por serviço com o que enumerar e como explorar.

Você só chega aqui com um alvo específico e uma razão. Disparar exploit no escuro é o oposto de pentest.

1. Identifique versão e produto exatos na fase 3.
2. Procure a vulnerabilidade conhecida. Como fazer isso está em docs/guia-cve.md.
3. Leia o exploit antes de rodar. Exploit público contém backdoor com frequência, e um que não bate com sua versão derruba o serviço.
4. Teste no seu lab primeiro, quando o alvo é produção.
5. Documente na hora: comando, saída, horário, evidência.

# buscar exploit conhecido para a versão
searchsploit "apache 2.4.49"
searchsploit -m 50383          # baixa uma cópia local para você LER

Sobre spraying: uma senha contra muitas contas, não muitas senhas contra uma conta. O segundo bloqueia contas e queima o teste. Confira a política de bloqueio (--pass-pol) antes.

• Metasploit — exploits com payload e sessão prontos
• sqlmap — injeção SQL, com --batch e nível controlado
• Burp Suite — a edição Community basta para aprender; interceptar e repetir requisição é o núcleo do teste web
• Exploit-DB — base de exploits, acessível também por searchsploit

Acesso inicial não é resultado. O resultado é impacto demonstrado.

# Linux: enumeração automatizada
./linpeas.sh | tee linpeas.txt

# o que checar na mão, sempre
sudo -l                                    # o que você roda como root
find / -perm -4000 -type f 2>/dev/null     # binários SUID
cat /etc/crontab; ls -la /etc/cron.*       # tarefa agendada gravável
getcap -r / 2>/dev/null                    # capabilities

# Windows: enumeração automatizada
.\winPEASx64.exe

# o que checar na mão
whoami /priv                               # privilégios do token
systeminfo                                 # versão e patches
Get-ChildItem -Path C:\ -Include *.kdbx,*.config -Recurse -EA 0

PEASS-ng (linPEAS e winPEAS) · GTFOBins para abusar de binário Unix · LOLBAS para o equivalente em Windows

# reutilizar credencial ou hash pela rede
netexec smb 10.0.0.0/24 -u usuario -H <hash_ntlm>
evil-winrm -i 10.0.0.7 -u usuario -H <hash_ntlm>
psexec.py dominio/usuario@10.0.0.7 -hashes :<hash_ntlm>

O objetivo é mostrar o caminho: de onde você entrou até onde conseguiu chegar, e o que isso significa para o negócio.

Anote tudo que você criou e desfaça: usuário, arquivo, tarefa agendada, chave de SSH, shell. Deixar artefato para trás é falha profissional, e às vezes cláusula de contrato.

É o único artefato que a maioria das pessoas do cliente vai ler. Use o modelo pronto em projetos/templates/relatorio-pentest.md.

• Reproduzível: o passo a passo funciona na mão de outra pessoa.
• Com impacto explicado: não "SQLi no parâmetro id", mas "leitura da tabela de clientes, 40 mil registros, incluindo CPF".
• Com severidade justificada: use CVSS e mostre o vetor, para a nota ser auditável.
• Com correção concreta: "usar consulta parametrizada em app/models/user.py:88", não "validar entrada".
• Com evidência mínima suficiente: captura de tela com dado sensível mascarado.

Despejar a saída do scanner como se fosse achado. Um relatório de 200 páginas gerado por ferramenta vale menos que dez achados verificados à mão, com falso positivo removido.

• PTES — Penetration Testing Execution Standard — a metodologia de referência, fase a fase
• OWASP Web Security Testing Guide — o que testar em aplicação web
• NIST SP 800-115 — guia de teste e avaliação de segurança
• HackTricks — consulta por serviço e por técnica
• PayloadsAllTheThings — payload e bypass por classe de vulnerabilidade
• MITRE ATT&CK — o vocabulário de técnicas que o relatório deve usar

← Voltar ao índice